宮城県みやぎジョブカフェ受託事業者（富士通Japan）によるメール誤送信（利用者1名分の個人情報漏えい）
公表日
宮城県が委託するみやぎジョブカフェの運営事業者（富士通Japan）で、相談予約の連絡メールを誤って別の利用者にも送り、利用者1名分の個人情報が漏えいした。
対象者は？
みやぎジョブカフェの利用者1名（利用者A）。漏えいした情報は、氏名、生年月日、年齢、性別、住所、電話番号、メールアドレス、就職活動の状況等。誤って送られた先も利用者1名（利用者B）。公表された情報の中に、これ以外の利用者の情報は含まれていない。
公表では、受託事業者が利用者A・Bに謝罪したとされている。詳しくは宮城県の公式のお知らせを確認する。
いますぐできること
- 職場や自宅で使うメールソフトで、宛先の自動表示（オートコンプリート）が有効か確認する。
- 大事な個人情報を含むメールは、送信前に宛先をもう一度見て確認する習慣をつける。
何が起きたのか
2026年3月7日の昼、みやぎジョブカフェの運営を受託している事業者の担当者が、利用者Aに相談予約の連絡メールを送りました。その際、宛先に別の利用者Bのメールアドレスも誤って加わっており、Aの個人情報を含むメールがBにも届きました。翌8日、Bが誤送信に気付いて受託事業者に連絡し、9日にはBから宮城県にも連絡がありました。県は同じ9日に事故を公表しました。
なぜ起きたのか・なぜ広がったのか
受託事業者のパソコンで、メールアドレスの自動表示（オートコンプリート）機能が有効になっていました。以前にやり取りしたBのアドレスが表示され、誤って送信先に追加されました。さらに、送信時にダブルチェックが行われていませんでした。外部からの不正な侵入ではありません。
いまの状況2026-03-09 時点
受託事業者は利用者AとBに謝罪し、送信データが削除済みであることを確認しています。県は、パソコンのオートコンプリート機能の無効化とメール送信時のダブルチェックの徹底を指示し、厳重注意を行いました。県は、さらなる対策の検討と早急な結果報告も求めています。その結果は、まだ発表されていません。
企業として考えたいこと
自社で個人情報を含むメールを送る担当者のパソコンでは、宛先の自動表示がどう設定され、送信前に誰がどう確認する決まりになっていますか。
技術的な要約
宮城県経済商工観光部雇用対策課が令和7年度みやぎジョブカフェ運営業務を委託している富士通Japan株式会社で、個人情報の漏えい事故が発生した。2026年3月7日12:45、受託事業者が利用者Aへ相談予約の連絡メールを送る際、宛先に別の利用者Bのメールアドレスを誤って追加して送信した。漏えいしたのは利用者Aの氏名、生年月日、年齢、性別、住所、電話番号、メールアドレス、就職活動の状況等である。原因は、受託事業者のパソコンでメールアドレスのオートコンプリート機能が有効だったことと、送信時のダブルチェックが行われていなかったことである。3月9日に宮城県が公表し、受託事業者は両利用者に謝罪して送信データの削除を確認し、県はオートコンプリート無効化等を指示した。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表で確認外部からの侵入ではなく、受託事業者の担当者によるメール誤送信。宛先に別の利用者のアドレスを誤って追加した。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし 業務停止の公表はない。
- データ
- 確定上限 1確定 1人氏名生年月日性別住所電話番号メールその他利用者A 1名分。年齢、就職活動の状況等を含む。誤送付先は利用者B 1名。件数は公表の「利用者（A）」1名の記載に基づく。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 宮城県の委託先である受託事業者（富士通Japan株式会社）の業務で発生した漏えい。
時系列
- 2026-03-07 12:45
- 2026-03-08 11:46
- 2026-03-09 10:40
- 2026-03-09
- 2026-03-09
- 2026-03-09
- 2026-03-09
技術解説
公表された事実経過 事実
宮城県経済商工観光部雇用対策課が令和7年度みやぎジョブカフェ運営業務を委託している富士通Japan株式会社で、2026年3月7日12時45分、受託事業者が利用者Aへ相談予約の連絡メールを送る際、宛先に誤って別の利用者Bのメールアドレスも追加して送信した。メールには利用者Aの個人情報が含まれていた。翌8日11時46分に利用者Bが誤送信に気付いて受託事業者へメールで連絡し、9日10時40分には宮城県にも連絡があった。漏えいした情報は、氏名、生年月日、年齢、性別、住所、電話番号、メールアドレス、就職活動の状況等である。
公表された原因と対応 事実
公表された原因は二つある。一つは、受託事業者のパソコンでメールアドレスのオートコンプリート機能が有効になっており、以前にメールでやり取りしていた利用者Bのアドレスが表示され、誤って送信先に追加されたこと。もう一つは、メール送信時にダブルチェックが行われていなかったことである。受託事業者は利用者AとBに謝罪し、送信データが削除済みであることを確認した。県は、相談対応用パソコンのオートコンプリート無効化と送信時のダブルチェックの徹底を指示した。あわせて厳重注意を行い、さらなる対策の検討と早急な結果報告を求めた。
誤送信が起きた構造の読み解き 解釈
この事案は外部からの侵入ではなく、日常のメール送信で起きた誤りである。ツールの既定機能であるオートコンプリートと、送信前の確認手順の有無という二つの条件が重なった点が特徴だと考えられる。過去にやり取りした相手のアドレスが候補に出る仕組みは便利な反面、個人を相手にする相談業務では別の利用者の宛先が混ざる余地を生む。人の注意力だけに頼る運用では、同様の誤りが担当者や組織を問わず起こり得る。したがって論点は個人の注意不足ではなく、設定と手順をどう設計するかにあると解釈できる。
委託先業務における影響と公表の評価 解釈
影響は利用者1名分で、誤送付先も利用者1名にとどまり、業務停止の公表もない。ただ、就職活動の状況等を含む情報が、同じ支援サービスを使う別の利用者に届いた点は、当事者にとって軽くない出来事だったと考えられる。県が公表し、原因、謝罪、削除確認、再発防止の指示までを一つの文書にまとめたことは、状況を把握しやすくする対応と評価できる。一方、県の指示した追加対策の内容や、実施状況の確認方法は、公表時点の文書からは読み取れない。再発防止の実効性は結果報告を待って判断すべきである。
対応
- 封じ込め
- 受託事業者が利用者A・Bに謝罪し、送信データの削除済みを確認した。県の指示でオートコンプリート機能の無効化とメール送信時のダブルチェックを徹底する。
- 公表の仕方
- 2026-03-09に宮城県（経済商工観光部雇用対策課）がWebページとPDFで公表した。
- 当局対応
- 宮城県が受託事業者に厳重注意を行い、さらなる対策の検討と早急な結果報告を指示した。
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| オートコンプリートは宛先誤りの入口になり得る。便利な機能も、個人情報を扱う業務では既定のまま使わない。 | 個人情報を扱う端末のメールクライアントで宛先候補の自動補完を無効化する。Outlookなら「オートコンプリートのリストを使用して…」をオフにし、既存の候補キャッシュも削除する。設定はグループポリシーやMDMで配布し、設定値の逸脱を定期的に検査する。 |
| 送信前の確認を個人の注意に任せると、忙しい場面で抜け落ちる。確認を手順やシステムに組み込む。 | 外部宛てメールの送信前に、宛先ドメインと宛先数を表示して確認を促すアドインを導入する。個人情報を含む案件では、送信前に第二の担当者が宛先を確認するチェックリストを運用に入れ、実施記録を残す。 |
| 1通ごとに宛先が1名と決まる業務では、複数宛先が混ざる状態そのものを検知できる。 | 相談予約の連絡のような個別連絡は、To に1名しか入れられない送信テンプレートか、メール配信システムの個別送信機能を使う。複数宛先の送信は警告または保留にするルールをDLPやメールゲートウェイに設定する。 |
| 誤送信は気付いた人からの連絡で判明することがある。連絡を受け付ける窓口と初動手順を用意しておく。 | 誤送信時の手順書に、受信者への削除依頼、送信データ削除の確認、委託元への報告期限、公表判断までを定める。受信者から連絡が来ても見落とさないよう、問い合わせ窓口を共有メールボックスにして担当を複数置く。 |
| 委託先で起きた事故は委託元の説明責任にも関わる。契約上の取扱いと報告の流れを確認しておく。 | 委託契約に、事故発生時の報告期限、再発防止策の報告、端末の設定基準を明記する。定期監査で設定基準の実施状況を確認し、結果を記録する。 |
自組織などでの確認項目
- 自組織で個人情報を含むメールを送る端末では、宛先のオートコンプリートや過去の宛先候補の表示がどう設定されているか、確認できるか。
- 外部宛てメールを送る前に、宛先を第二の担当者が確認する手順や、システムによる宛先確認の仕組みはあるか。ある場合は実際に使われているか。
- 利用者や顧客からメール誤送信の連絡を受けたとき、誰が受け付け、いつまでに委託元や管理部門へ報告するかが決まっているか。委託先との契約にも同じ内容が書かれているか。
未解明点
- 県が求めた「さらなる対策」の検討結果と結果報告は、まだ公表されていない。内容と実施状況はどうなっているか。
- オートコンプリート無効化やダブルチェックが、同じ業務の他の担当者・端末にも適用されたかは公表されていない。
出典
- 1宮城県 経済商工観光部雇用対策課2026-03-09公式本文確認済
- 2宮城県2026-03-09公式本文確認済